Muster-Sperre vs. PIN vs. Face ID: Was ist wirklich sicherer?

Die Frage klingt, als sollte sie eine einzige Antwort haben, und fast hat sie das auch, bis du dich fragst, vor wem du das Telefon eigentlich schützen. Ein Fremder, der es im Zug findet, ein Kollege, der dir beim Mittagessen gegenübersitzt, und ein Partner, der deinen Code bereits kennt, sind drei verschiedene Probleme, und die drei Sperren versagen gegen sie in unterschiedlicher Reihenfolge. Es folgen die Rangliste, die Forschung dahinter, und der Teil, der mehr zählt als alles andere: welche Sperre auf das Telefon gehört, und welche auf die Fotos darin.

Gegen jemanden, der beim Entsperren zusieht, ist das Muster mit deutlichem Abstand das schwächste der drei. In einer kontrollierten Studie zur einmaligen Beobachtung gaben Angreifer ein mit sichtbarer Spurlinie gezeichnetes Muster in etwa 64 Prozent der Fälle korrekt wieder, während eine sechsstellige PIN in etwa 11 Prozent der Fälle fiel. Ein Muster hinterlässt zudem eine physische Spur: Die ursprüngliche Forschung zum Smudge-Angriff rekonstruierte das vollständige Muster aus dem Fettfilm der Finger auf dem Bildschirm in 68 Prozent der Tests bei günstiger Beleuchtung, und Teile davon in 92 Prozent. Face ID gibt einem Beobachter überhaupt nichts preis, weshalb es auf dem Papier gewinnt, und Apple beziffert die Wahrscheinlichkeit, dass ein zufälliges Gesicht mit deinem übereinstimmt, auf etwa eins zu einer Million. Seine Schwäche liegt woanders. Es funktioniert, während du schläfst, und es funktioniert, wenn jemand dir das Telefon vor das Gesicht hält, und auf dem iPhone ist es eine Abkürzung zum Code und kein Ersatz dafür, sodass ein beobachteter Code es aushebelt. Auch die Rastergröße spielt eine Rolle. Fast jede veröffentlichte Musterzahl beschreibt ein Drei-mal-drei-Raster, und ein Fünf-mal-fünf-Raster mit einem Minimum von sechs Punkten liegt in einem völlig anderen Bereich. Nutze Face ID mit einem langen Code auf dem Gerät selbst, und schütze die App, die alles enthält, was du einem Fremden nicht in die Hand geben würdest, mit einer eigenen Sperre.

Die kurze Rangliste, und die Frage, die sie neu ordnet

Danach beurteilt, wie gut jede Methode einer Beobachtung standhält, ist die Reihenfolge klar: Face ID zuerst, eine lange PIN an zweiter Stelle, ein Muster zuletzt. Face ID verrät einem Beobachter nichts, weil die Zugangsdaten nie dein Gesicht verlassen. Eine PIN wird in einem kleinen Bereich eingegeben, den eine Hand abdecken kann, und jede zusätzliche Ziffer vervielfacht den Suchraum um den Faktor zehn. Ein Muster ist eine große Geste über den Großteil des Bildschirms, meist mit einer hellen Linie, die dem Finger folgt, und es ist als einziges der drei etwas, das eine Person zwei Plätze weiter sich einfach einprägen kann. In der Forschung ist das kein kleiner Effekt, sondern der Unterschied zwischen einem Münzwurf und einer sehr unwahrscheinlichen Chance.

Stell dir dann eine andere Frage. Wer öffnet Telefone tatsächlich ohne Erlaubnis? Überwiegend ist es kein Fremder mit einer Kamera, sondern jemand, der bereits im Raum ist: ein Partner, ein Mitbewohner, ein Kollege, ein Verwandter. Diese Person kennt meist deinen Code, hat dich das Telefon schon hundertmal entsperren sehen und braucht überhaupt keinen Angriff. Ihr gegenüber ist die obige Rangliste bedeutungslos, weil alle drei Sperren bereits offen sind. Das Einzige, was noch standhält, ist eine zweite Zugangssicherung, die diese Person noch nie gesehen hat, auf der App, die das schützenswerte Material enthält. Unsere Anleitung zum Sperren einzelner Apps mit Face ID auf dem iPhone deckt die eingebaute Hälfte davon ab, und es lohnt sich, sie zusammen mit diesem Artikel zu lesen.

Was jede Sperre einem Beobachter verrät

Forscher haben das gemessen, statt es zu vermuten. In einer Studie zur einmaligen Beobachtung wurde ein mit sichtbarer Spurlinie gezeichnetes Muster vom Beobachter in etwa 64 Prozent der Fälle erfolgreich reproduziert, während eine sechsstellige PIN in etwa 11 Prozent der Fälle reproduziert wurde. Das Abschalten der Spurlinie hilft einem Muster erheblich, und das Verdecken des Tastenfelds hilft einer PIN, aber der Abstand bleibt in beiden Fällen bestehen. Der Grund liegt in der Geometrie. Eine PIN ist eine Folge kleiner Tipper in einem dichten Raster, und eine einzige falsch gelesene Ziffer ruiniert die gesamte Vermutung. Ein Muster ist eine einzige zusammenhängende Form, und eine Form ist genau das, was sich das menschliche Gedächtnis nach einem Blick gut merken kann.

Ein Muster hinterlässt außerdem im Nachhinein Spuren. Die ursprüngliche Arbeit zum Smudge-Angriff fotografierte Telefonbildschirme unter kontrollierter Beleuchtung und rekonstruierte das vollständige Entsperrmuster aus der Fettspur in 68 Prozent der Tests, mit einem sichtbaren Teil des Musters in 92 Prozent. Auch ein PIN-Tastenfeld verschmiert, doch die Schmierspuren tragen keine Reihenfolge, sodass ein Angreifer nur die Ziffern erfährt, nicht die Abfolge. Face ID hinterlässt weder auf dem Glas noch im Raum etwas. Stattdessen funktioniert es immer dann, wenn dein Gesicht vor der Kamera ist, auch während du schläfst, was eine reale und konkrete Schwäche ist, keine theoretische. Apple mildert das ab, indem der Code nach einem Neustart, nach 48 Stunden ohne Entsperrung und nach fünf fehlgeschlagenen Gesichtsabgleichen verlangt wird, und mit Schutz für gestohlene Geräte für den Fall, dass ein Dieb dich bereits beim Eintippen beobachtet hat.

Dieselbe Schwäche steckt in Tresor-Apps, die Face ID und ein Tarnpasswort anbieten: Öffnet Face ID den echten Tresor, muss jemand Ihnen nur das Telefon vors Gesicht halten, um den Tarn-Tresor zu umgehen. Unsere Anleitung zu Face ID und Tarnpasswort in Foto-Tresor-Apps zeigt, was Sie vorher prüfen sollten.

Die Arithmetik dahinter, und warum die Rastergröße alles ändert

Fast jede weit verbreitete Musterstatistik beschreibt das Android-Raster mit drei mal drei Feldern, in dem Pfade von vier bis neun Punkten insgesamt 389.112 Möglichkeiten ergeben. Das ist mehr als eine vierstellige PIN mit 10.000 und weniger als eine sechsstellige PIN mit 1.000.000, und beide Zahlen überschätzen die tatsächliche Schwierigkeit, weil weder Musterwahl noch PIN-Wahl auch nur annähernd zufällig sind. Menschen beginnen Muster weit häufiger als der Zufall erlauben würde in der oberen linken Ecke und zeichnen Buchstaben, die sie bereits kennen. Menschen wählen 1234, 0000 und Geburtsjahre. Ein Angreifer, der zuerst die beliebten Optionen ausprobiert, arbeitet sich nicht durch den gesamten Raum, sondern nur durch dessen überfülltes Ende.

Die Rastergröße ist die Variable, die niemand erwähnt, und sie dominiert alles Übrige. Zählt man nur Pfade, die sechs unterschiedliche Punkte verwenden, bietet ein Fünf-mal-fünf-Raster 127.512.000 Anordnungen, bevor überhaupt eine Zeichenregel die Liste kürzt, gegenüber 1.000.000 bei einer sechsstelligen PIN. Vaultaire verwendet genau aus diesem Grund ein Fünf-mal-fünf-Raster, verlangt mindestens sechs Punkte und mindestens einen Richtungswechsel, und warnt dich, wenn die gerade gezeichnete Form eine fortlaufende Reihe, eine Spirale oder ein erkennbarer Buchstabe ist. Nichts davon behebt das Beobachtungsproblem, das eine Eigenschaft des Zeichnens auf Glas vor anderen Menschen ist, nicht des Rasters. Es bedeutet aber, dass ein Muster nur dann die schwache Wahl ist, wenn jemand zusieht, und eine starke, wenn niemand zusieht.

Welche Sperre zu welcher Tür gehört

Behandle das Telefon und das private Material darin als zwei getrennte Türen. Nutze auf dem Telefon Face ID mit einem langen Code dahinter, und schalte den Schutz für gestohlene Geräte ein, der bei sensiblen Aktionen Face ID ohne Rückgriff auf den Code erzwingt, wenn du dich fernab deiner gewohnten Orte befindest. Diese Kombination beantwortet den Fremden, den Taschendieb und die Person, die dich beim Entsperren in einem Café gefilmt hat. Was sie nicht beantworten kann, ist die Person, die den Code bereits kennt, oder der Moment, in dem du jemandem das entsperrte Telefon geben, um ein Foto zu zeigen, und diese Person weiterwischt. Dafür brauchst du eine Sperre, die sich nicht schon deshalb öffnet, weil das Telefon es getan hat.

Das ist die zweite Tür, und dort verdient ein Muster seinen Platz. In Vaultaire vergleicht der normale Entsperrpfad dein Muster nicht mit einem eigenständigen Passwort-Hash. Die von dir gezeichneten Punkte werden serialisiert und durchlaufen PBKDF2-HMAC-SHA512 für 600.000 Iterationen mit einem geräteweiten Salt, das in der iOS Keychain liegt. Der resultierende Tresorschlüssel authentifiziert den verschlüsselten Index und entpackt einen separaten, zufälligen Hauptschlüssel, der für die AES-256-GCM-Dateiverschlüsselung verwendet wird. Durch die AES-GCM-Authentifizierung kann jemand mit kopierten App-Daten Kandidatenschlüssel auch offline testen, sodass die Musterstärke und die Kosten jedes Rateversuchs immer noch eine Rolle spielen. Vaultaire führt eine verschlüsselte Wiederherstellungsdatenbank in der Keychain, und das standardmäßig aktivierte, verschlüsselte CloudKit-Backup erstellt eine weitere Chiffretextkopie; keines von beiden gibt dem Entwickler einen Reset-Pfad noch die Schlüssel, die zum Lesen deiner Dateien erforderlich sind. Unser Erklärer dazu, was AES-256-Verschlüsselung tatsächlich schützt, deckt die Chiffrierseite ab, und unsere Prüfung der Sicherheitsansprüche der Tresor-App behandelt, wie du überprüfen kannst, ob eine bestimmte App dies tut oder lediglich einen Ordner versteckt. Vaultaire ist für bis zu 3 Tresore kostenlos.

Verwandte Anleitungen

• So sperrst du Apps mit Face ID auf dem iPhone
• Passwort für den Foto-Tresor vergessen
• Lässt sich die Face-ID-Sperre des ausgeblendeten Albums umgehen
• Was AES-256-Verschlüsselung tatsächlich schützt

Häufig gestellte Fragen

Kann jemand mein Muster wirklich aus Fettflecken auf dem Bildschirm herausfinden?

Ja, unter den richtigen Bedingungen. Die Forschung, die dem Smudge-Angriff seinen Namen gab, fotografierte Bildschirme mit kontrollierter Beleuchtung und Kamerawinkeln und rekonstruierte das vollständige Muster in 68 Prozent der Tests, mit einem sichtbaren Teil in 92 Prozent. Normaler Gebrauch verschmiert das Glas und erschwert es, und das Reinigen des Bildschirms entfernt es vollständig, aber der Angriff ist real und betrifft nur Muster. Ein PIN-Tastenfeld hinterlässt Spuren, die verraten, welche Ziffern du verwendest, ohne die Reihenfolge zu verraten.

Ist Face ID sicherer als ein Code auf dem iPhone?

Es sind keine Alternativen zueinander. Face ID ist ein schneller Weg zu demselben Code, und der Code bleibt die zugrunde liegende Zugangssicherung, weshalb iOS ihn nach einem Neustart, nach 48 Stunden ohne Entsperrung und nach fünf fehlgeschlagenen Gesichtsabgleichen verlangt. Face ID ist gegenüber Beobachtung deutlich besser, weil es nichts zu beobachten gibt. Der Code ist besser für den Fall, dass jemand das Telefon auf dich richten kann. Nutze beides, und wähle einen langen Code.

Hilft ein separates Tresor-Muster, wenn jemand meinen iPhone-Code bereits kennt?

Genau dafür ist es in erster Linie gedacht. Eine Person, die deinen Code kennt, erhält Zugriff auf das ganze Telefon: Fotos, Nachrichten, das ausgeblendete Album, iCloud im Web. Ein Tresor mit eigener Zugangssicherung ist der einzige Teil, der sich nicht zusammen mit dem Rest öffnet, vorausgesetzt, du zeichnest das Muster nie vor dieser Person und verwendest nie die Ziffern des Codes als seine Form. Wähle etwas, das du vor dieser Person noch nie eingetippt hast, denn Vertrautheit ist hier der eigentliche Angriff.

Was passiert, wenn ich das Muster vergesse?

In Vaultaire leitet das Muster einen Tresorschlüssel ab, der den verschlüsselten Index authentifiziert und seinen zufälligen Hauptschlüssel entpackt. Die Wiederherstellung verwendet die Phrase, um einen verschlüsselten Schlüsselumschlag zu öffnen, und erfordert außerdem die passenden lokalen oder verschlüsselten CloudKit-Wiederherstellungsdatensätze. Vaultaire verfügt nicht über einen Reset-Schlüssel, daher kann der Support diese Anforderungen nicht umgehen. Speichere den Satz auf Papier, fern vom Telefon. Unser unten verlinkter Leitfaden zu vergessenen Passwörtern für den Fototresor erklärt die verbleibenden Wiederherstellungspfade und die Behauptungen, denen du misstrauen solltest.